تقوم عمليات تحميل ملفات Artifacts في Actions القديمة بتخزين ترويسة `Content-Encoding` دون التحقق منها في العمود الذي يتم تقديمه كـ `Content-Type` عند التنزيل. وإذا بدأت القيمة بـ `video/` أو `audio/` يتم إزالة سياسة أمن المحتوى (Content-Security-Policy) الخاصة بالـ sandboxing (وهي طبقة أمنية تساعد في اكتشاف وتخفيف أنواع معينة من الهجمات، بما في ذلك Cross-Site Scripting). يسمح هذا للمستخدم القادر على تشغيل وظيفة Actions بتحميل ملف Artifact يقوم المتصفح بتصويره كـ HTML عند فتح رابط التنزيل المباشر. وفي المستودعات العامة، يمكن الوصول إلى هذه الروابط بشكل مجهول. وعندما يفتح الضحية الرابط، يتم تشغيل نص برمجي خبيث في جلسته الخاصة، مما يعني سيطرة المهاجم على المثيل إذا كان الضحية مسؤولاً (administrator).